Notas técnicas de quienes ejecutan pentest y operan riesgo digital todos los días — sin relleno, sin contenido disfrazado de venta.
Cuando un agente obtiene herramientas y credenciales, la conversación se convierte en un plano de control. Aprende a limitar permisos, validar entradas y salidas y probar una POC antes de producción.
Leer artículo →Una lista de CVE con puntajes CVSS pegados del escáner no es un informe de pentest, es un PDF bonito. Tres cosas separan uno del otro: evidencia reproducible, severidad ajustada a tu entorno y remediación que un desarrollador pueda aplicar de verdad. Cómo reconocer cada una antes de firmar.
Leer artículo →Una sola petición HTTP sin ninguna credencial se convierte en acceso de administrador. Y un administrador de Metabase no ve solo reportes: ve la credencial de conexión de todas las bases conectadas a la herramienta.
Leer artículo →La filtración es discutible. La fecha en que te enteraste y la fecha en que avisaste no lo son. Por eso la falta de notificación es la infracción más barata de probar.
Leer artículo →El servicio estaba en 127.0.0.1, sin ningún puerto abierto a internet, y aun así un sitio cualquiera logró enviarle un comando. La verificación de seguridad que falló cabía en una sola línea de código.
Leer artículo →Lo que más creció no fue el ataque, fue la fase que viene antes. Cómo un atacante arma su lista de objetivos sin enviar un solo paquete a tu servidor.
Leer artículo →Un path traversal en el servidor de syslog de vCenter se convierte en ejecución de código sin autenticación, y desde ahí el atacante alcanza toda la flota de ESXi. Cinco días fue el intervalo entre el parche y la explotación masiva.
Leer artículo →Lazarus usó una oferta de empleo falsa en LinkedIn para entrar, y un zero-day de kernel en Windows para borrar su propio rastro antes de que cualquier EDR lo notara. Un caso real de por qué la escalación de privilegios local importa tanto como el RCE remoto.
Leer artículo →Con fines de estudio: cómo funcionaban por dentro CIH, WinNuke, Ping of Death y otras fallas históricas de Windows 95, y por qué el mismo patrón de falla sigue apareciendo en sistemas modernos.
Leer artículo →Un RCE no autenticado en TeamCity On-Premises, CVSS 9.8 y ya con explotación activa confirmada por CISA, muestra por qué un servidor de CI/CD merece el mismo alcance de pentest que un sistema de producción.
Leer artículo →Los mismos cinco patrones de falla siguen apareciendo API tras API. Un panorama práctico de qué probar antes de que alguien externo lo encuentre primero.
Leer artículo →Apenas un agente de IA obtiene acceso a una herramienta, un archivo o una shell, prompt injection deja de ser un truco de chatbot y se vuelve un camino hacia la ejecución de comandos. Un panorama técnico con un caso real confirmado.
Leer artículo →Cuéntanos qué necesitas validar y el equipo arma un alcance de pentest a medida.
¿Listo para evaluar el riesgo de su empresa?